A empresa Qualys identificou duas vulnerabilidades nas ferramentas apport (CVE-2025-5054) e systemd-coredump (CVE-2025-4598), que s\u00e3o utilizadas para processar arquivos core gerados ap\u00f3s a finaliza\u00e7\u00e3o inesperada de processos. As vulnerabilidades permitem o acesso a arquivos core salvos ap\u00f3s a finaliza\u00e7\u00e3o inesperada de aplica\u00e7\u00f5es suid ou de alguns processos de fundo do sistema, cuja mem\u00f3ria pode conter credenciais ou chaves de criptografia em cache. O utilit\u00e1rio apport \u00e9 acionado automaticamente para salvar os core dumps no Ubuntu, enquanto o systemd-coredump \u00e9 utilizado no Red Hat Enterprise Linux 9+, Fedora e em muitas outras distribui\u00e7\u00f5es Linux. <\/p>\n
Foi demonstrada uma t\u00e9cnica de ataque na qual se criaram condi\u00e7\u00f5es para a finaliza\u00e7\u00e3o inesperada da aplica\u00e7\u00e3o suid unix_chkpwd e o acesso ao arquivo core com o dump de estado durante a falha. O core dump salvo continha hashes de senhas de usu\u00e1rios do sistema, que permaneceram na mem\u00f3ria do processo que falhou ap\u00f3s a leitura do conte\u00fado de \/etc\/shadow. A possibilidade de explora\u00e7\u00e3o das vulnerabilidades foi demonstrada no Ubuntu 24.04 e no Fedora 40\/41, mas sup\u00f5e-se que outras distribui\u00e7\u00f5es tamb\u00e9m estejam suscet\u00edveis a ataques semelhantes. <\/p>\n
Ambas as vulnerabilidades s\u00e3o causadas por uma condi\u00e7\u00e3o de corrida que permite substituir o processo suid que falhou por outro processo no momento ap\u00f3s o in\u00edcio do manuseio pelo n\u00facleo da falha, mas antes que o manipulador verifique os par\u00e2metros do processo no espa\u00e7o do usu\u00e1rio atrav\u00e9s de \/proc\/pid\/files. A chamada de apport e systemd-coredump ocorre da seguinte forma: o n\u00facleo, ao receber informa\u00e7\u00f5es sobre a falha do processo, chama o manipulador especificado no arquivo \/proc\/sys\/kernel\/core_pattern, e depois transmite o conte\u00fado do core dump atrav\u00e9s do fluxo de entrada. <\/p>\n
A gera\u00e7\u00e3o do core dump e a execu\u00e7\u00e3o do manipulador n\u00e3o ocorrem instantaneamente, e esse tempo \u00e9 suficiente para substituir o processo suid finalizado por um processo normal do usu\u00e1rio. Em caso de substitui\u00e7\u00e3o, o manipulador de core dumps em execu\u00e7\u00e3o considerar\u00e1 que a falha ocorreu n\u00e3o no processo suid, mas sim em uma aplica\u00e7\u00e3o comum do usu\u00e1rio e, consequentemente, salvar\u00e1 o arquivo core com acesso permitido ao usu\u00e1rio comum, e n\u00e3o apenas ao administrador. <\/p>\n
O ataque ao apport consiste nos seguintes passos: <\/p>\n
Para obter o identificador necess\u00e1rio para o novo processo, que corresponda ao identificador do processo suid, antes de enviar o sinal SIGSEGV, o processo suid \u00e9 parado pelo sinal SIGSTOP e, durante a pausa, novos processos s\u00e3o iniciados ciclicamente at\u00e9 que um PID com um n\u00famero anterior, pr\u00f3ximo ao do processo suid a ser substitu\u00eddo, seja obtido. Ap\u00f3s o deslocamento da numera\u00e7\u00e3o do PID, os sinais SIGSEGV e SIGCONT s\u00e3o enviados para o processo suid, seguido pelo SIGKILL, e novos processos s\u00e3o iniciados ciclicamente para alcan\u00e7ar o mesmo PID do processo suid. <\/p>\n
No que diz respeito ao systemd-coredump, por um lado, realizar um ataque contra ele \u00e9 mais simples, pois n\u00e3o \u00e9 necess\u00e1rio substituir o processo suid por um processo em um espa\u00e7o de usu\u00e1rio separado, sendo suficiente alcan\u00e7ar a correspond\u00eancia entre AT_UID e AT_EUID. Por outro lado, o systemd-coredump \u00e9 escrito em C e \u00e9 executado rapidamente, o que oferece menos tempo para substitui\u00e7\u00f5es, ao contr\u00e1rio do apport, que \u00e9 escrito em Python e carrega v\u00e1rios arquivos pyc durante o processo de inicializa\u00e7\u00e3o. Esse problema pode ser resolvido com uma lentifica\u00e7\u00e3o artificial do systemd-coredump \u2014 ao chamar um arquivo suid, um grande n\u00famero de argumentos de linha de comando \u00e9 passado, criando a lat\u00eancia necess\u00e1ria durante a an\u00e1lise de \/proc\/pid\/cmdline. <\/p>\n
Durante a an\u00e1lise de vulnerabilidades, os pesquisadores tamb\u00e9m descobriram que o systemd-coredump, ao configurar a chamada, n\u00e3o especifica o sinalizador '%d' em \/proc\/sys\/kernel\/core_pattern, o que permite que um invasor cause o encerramento inesperado de processos em segundo plano executados com privil\u00e9gios de root, que ramificam outros processos mudando o identificador do usu\u00e1rio para um usu\u00e1rio n\u00e3o privilegiado sob o qual o ataque \u00e9 realizado. Essa possibilidade permite atacar n\u00e3o apenas aplicativos setuid, mas tamb\u00e9m processos como sshd-session (OpenSSH), sd-pam (systemd) e cron, para obter dados confidenciais gravados em sua mem\u00f3ria, como chaves privadas, hashes de senhas do \/etc\/shadow, marcadores can\u00e1rios da pilha e dados para contornar a aleatoriza\u00e7\u00e3o do espa\u00e7o de endere\u00e7o (ASLR). <\/p>\n